事件经过
种子验证（通过WPScan参考，10月21日发布）：插件在更新标题/摘要前未检查调用者是否可以编辑目标对象，允许编辑者修改其无法编辑的文章类型。
影响分析
AI/LLM WordPress插件日益暴露程序化内容修改端点；此处缺少对象级授权允许通过AI功能面实现站点内容的权限提升。
攻击途径
具有编辑者角色的授权插件用户调用受影响的AI操作更新路径时，无需能力/对象所有权检查，即可跨对象修改目标文章标题/摘要。
受影响系统
AI Engine WordPress插件 < 3.8.6
缓解措施
将AI Engine更新到3.8.6+（Wordfence/WPScan公告59f18552-e60e-466f-949d-cc09aa657bbe）。